MD5, SHA-1 и SHA-256 любого файла с готовыми ссылками для поиска в VirusTotal и MalwareBazaar.
Новый
Определение типа файла
Работает локальноНовый
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Определение типа файла
Для чего это нужно
Перетащите файл, чтобы узнать, что это на самом деле — по байтам, а не по имени, — и пытаются ли имя, расширение или содержимое это скрыть. Ничего не загружается и не открывается.
Приложение работает полностью в браузере: никакие введенные вами данные не передаются на сервер.
Как использовать Определение типа файла
- Не открывайте файл. Сохраните вложение или загруженный файл, не открывая его.
- Перетащите или выберите файлы. Перетащите один или несколько файлов на поле или выберите их. За раз проверяется до 50 файлов, каждый в своей карточке.
- Сравните тип и расширение. Вверху показаны Detected type, Kind и Extension. Красное «does not match» (не совпадает) означает, что имя лжёт о содержимом.
- Прочитайте пометки и подробности. Блоки Danger и Warning объясняют каждый приём маскировки или рискованную особенность. Ниже — байты сигнатуры, записи архива, ключевые слова PDF и hex-дамп первых байтов.
- Сделайте следующий шаг. Перейдите к предложенному инструменту, например к File Hash Calculator для поиска в VirusTotal, и перетащите туда тот же файл.
Пример
Вложение с HTML smuggling
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.Первая строка становится именем файла, а остальное — его содержимым. Анализатор сообщает о HTML-документе, отмечает двойное расширение .pdf.html и схему HTML smuggling (atob, Blob и принудительная загрузка) и предлагает HTML Attachment Analyzer.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| Определённый тип и расширение | Расширение совпадает, не совпадает, не проверяется или отсутствует. Несовпадение — главный признак замаскированного файла. |
| Код под видом документа или изображения | Опасность: содержимое — программа, ярлык или скрипт, а имя обещает безобидный файл. Скрипт, сохранённый как .txt, получает вместо этого предупреждение. |
| Двойное расширение | Имя вроде statement.pdf.exe или invoice.pdf.html: первое расширение — лишь декорация. |
| Right-to-left override и невидимые символы | Трюки с Unicode, из-за которых в имени отображается поддельное расширение. Сообщается настоящее расширение. |
| Содержимое архива | Исполняемые файлы, скрипты, ярлыки, HTML-файлы и двойные расширения внутри ZIP, зашифрованные записи и пути Zip Slip отмечаются без распаковки. |
| Макросы и объекты Office | Проекты VBA, листы макросов Excel 4.0, встроенные объекты OLE, объекты Equation Editor и документы, защищённые паролем. |
| Ключевые слова PDF | JavaScript с автоматическим действием при открытии, /Launch, встроенные файлы, отправка форм и обфусцированные имена. |
| Ярлыки и образы дисков | Файлы LNK, которые запускают командные утилиты или указывают на удалённые ресурсы, а также образы ISO, IMG или VHD, с помощью которых обходят предупреждения о загрузке. |
| HTML и SVG | Схемы smuggling, формы для ввода учётных данных, отправляющие их на другой адрес, и скрипты внутри разметки. |
| Дописанный ZIP | Примечание о том, что ZIP-архив находится в конце другого файла: это самораспаковывающийся архив, установщик или файл-полиглот, допустимый в двух форматах. |
Еще примеры
Программа внутри ZIP
Statement.zip containing one file, Statement.pdf.exeZIP archive, .zip совпадает. Две пометки опасности: внутри 1 исполняемый файл, скрипт или ярлык (Statement.pdf.exe), и имя записи содержит двойное расширение. В списке Entries файл помечен «runs code».
Исполняемый файл с именем фотографии
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ); .jpg не совпадает. Опасность: исполняемый файл замаскирован под .jpg — имя обещает безобидный файл, а содержимое является кодом.
PDF, запускающий JavaScript при открытии
scan.pdf whose /OpenAction points to a /JavaScript actionPDF document, .pdf совпадает. Опасность: файл содержит JavaScript и автоматическое действие, которое может запустить его при открытии. Строка Keywords перечисляет /JavaScript, /JS и /OpenAction.
Часто задаваемые вопросы
Как анализатор определяет, что за файл перед ним?
Он сравнивает первые байты, а также фиксированные смещения, например 0x8001 для образов ISO или 257 для TAR, примерно со 100 сигнатурами форматов, а затем заглядывает внутрь структур ZIP, OLE2, PE, LNK, PDF и RTF: части Office и макросы, потоки MSI и Outlook, EXE или DLL и тип процессора, цели ярлыков и ключевые слова действий PDF. Текстовые файлы классифицируются по маркерам вроде строки shebang, HTML-тегов или синтаксиса PowerShell.
Что он может пропустить или определить неверно?
Текстовые форматы распознаются эвристически, поэтому короткий скрипт может быть определён как обычный текст, а ключевые слова PDF внутри сжатых потоков объектов ему не видны. Он описывает тип файла и приёмы маскировки, но не ищет вредоносное ПО, поэтому чистый результат — не вердикт.
Загружается или открывается ли файл?
Нет. Браузер читает только нужные диапазоны байтов из файла на вашем устройстве, ничего не запускается и не отрисовывается, и ничего не отправляется по сети.
Почему файл с расширением .jpg или .pdf может быть опасен?
Почтовые фильтры часто судят о файле по расширению. Программа, переименованная в .jpg, может проскочить мимо них, и чтобы снова её запустить, достаточно переименования или загрузчика, а HTML-страница с именем .pdf может открыться в браузере как поддельная страница входа.
Можно ли проверить несколько файлов сразу?
Да. Перетащите или выберите до 50 файлов; каждый получит свою карточку с результатом, а Clear удаляет их все.
Что делать после пометки опасности?
Не открывайте файл. Вычислите его хеш в File Hash Calculator, найдите SHA-256 в VirusTotal или MalwareBazaar и сообщите об отправителе своему почтовому провайдеру.